Seit 8 Jahren läuft eine 7390 [...], daran eine alte 7270 per LAN Kabel angeschlossen.[...]Auch konnte in der alten/bisherigen Anlage kein Sicherheitsproblem entdecken.
Na dann ... ist/war ja vermutlich alles gut. Wer hat denn da genau nach Sicherheitsproblemen gesucht und wann war das?
Die letzte "offizielle" Firmware-Version für die 7270 war (aber auch nur, wenn es sich bei der Box nicht um die "v1" handelt(e)) eine 06.06 - die ist im Prinzip ein Teesieb (ein paar der Lücken habe ich öffentlich einsehbar dokumentiert) und wer hinter dieser Box z.B. ein Android-Gerät betreibt und dort Apps (auch aus dem offiziellen Play-Store von Google, denn auch dort gibt es - bekanntermaßen - genug Malware) installiert, der "hat sie nicht alle" (nach meiner Ansicht und eher nicht persönlich zu nehmen) und da ist dann so eine Feststellung wie die oben zitierte auch ziemlich witzig - jedenfalls solange sich nicht wirklich jemand findet, der das mal ernsthaft angreifen will.
Sorry ... mit solchen Aussagen kann ich (üblicherweise) mal gar nicht. Vor allem dann, wenn das auch noch mit:
Und ja ich nutz edie Anlage geschäftlich.
garniert wird. Auch wenn man erst ab einer bestimmten Größe als Firma erweiterte Pflichten beim Datenschutz zu erfüllen hat, sollte der Grundsatz der Datensicherheit selbst für ein Einzelunternehmen nicht unterschätzt werden und die oben beschriebene "Konfiguration" ist schon mal alles andere als sicher.
Was fehlt hier noch? Eigentlich nur noch eine Speicherung von Kundendaten auf dem AVM-NAS, möglichst noch mit parallel in der FRITZ!Box aktiviertem Media-Server - dann braucht es bekanntlich keinerlei "Zugangsrechte", um jede beliebige Datei mit irgendeiner App (die braucht auch keinen Benutzernamen oder ein Kennwort für die FRITZ!Box) zu ergattern, die auf einem USB-Volume an der Box gespeichert wurde.
Selbst wenn dieser "Kardinalfehler" vielleicht nicht gemacht wurde (ich weiß schon gar nicht mehr, wieviele solcher "Installationen" ich schon gesehen habe ... manchmal denke ich selbst nicht daran, den Media-Server zu deaktivieren, aber immerhin rate ich - bei "geschäftlicher Nutzung" - wenigstens grundsätzlich von der Benutzung des AVM-NAS ab), so gibt es oft genug noch das Phänomen, daß in der FRITZ!Box und in irgendeinem Windows-PC dieselben Credentials (also Benutzername und Kennwort) eingerichtet sind, weil dann (gerade ältere) Windows-Versionen beim Zugriffsversuch auf das NAS nicht erst nach diesen Angaben fragen ... jetzt kann ja jeder mal überlegen, ob er das nicht auch irgendwann mal gemacht hat (inzwischen ist das dann - hoffentlich - nicht mehr der Fall?).
Das heißt dann, daß man mit dem Auslesen der Benutzerdaten aus der FRITZ!Box (erst mit der 2FA hat AVM hier etwas höhere Hürden errichtet, wenn es um dieses Auslesen geht - ich wäre aufs Äußerste überrascht, wenn die 7270 mit 2FA arbeiten kann; meine kann es jedenfalls nicht) häufig genug auch die Zugangsdaten zu irgendeinem (wenn nicht sogar mehreren) anderen Clients im Netzwerk erhält ... zumindest einen Versuch mit solchermaßen erbeuteten Credentials würde ein Angreifer wohl unternehmen.
Das waren jetzt nur zwei "winzige" Beispiele für denkbare Angriffe auf Geräte oder Daten in einem LAN ... solange da nicht wirklich ein Profi sich die Netzwerk-Sicherheit angesehen hat, sind Aussagen - wie die eingangs von mir zitierte - hinsichtlich dieses Themas jedenfalls äußerst kühn und im Falle eines tatsächlich eintretenden Schadens (z.B. der "versehentlichen" Preisgabe vertraulicher Kundendaten, meinetwegen - bei einem freiberuflichen Versicherungsmakler - der Kundenliste der Versicherten, die dieser von der vertretenen Versicherung zum "Abarbeiten" erhalten hat) ist auch ein "Kleinstunternehmen" (siehe
Erwägungsgrund 13 zur DSGVO) in der Verantwortung ... diese sind nur hinsichtlich des Verwaltungsaufwands (u.a. der "Verzeichnispflicht") privilegiert.
Kosten- / Nutzenaufwand
